Goma-it Kostenlose Analyse

Lokale KI und DSGVO: Was sich ändert, wenn das Sprachmodell im eigenen Betrieb läuft

Von Lukas Göggel · 28. September 2026

Datenschutz ist einer der häufigsten Gründe, warum Betriebe sich für eine lokale KI interessieren. Die Vorstellung ist einfach: Wenn das Sprachmodell im eigenen Haus läuft, gehen keine Daten nach außen, und das Datenschutzproblem ist gelöst. Ganz so einfach ist es nicht. Lokale KI löst einige der schwierigsten Fragen, aber nicht alle.

Was lokale KI datenschutzrechtlich vereinfacht

Keine Übermittlung an einen Cloud-Anbieter. Bei Cloud-KI werden Eingaben an einen externen Anbieter übermittelt. Dafür braucht es einen Auftragsverarbeitungsvertrag, eine Prüfung des Anbieters und oft eine Abwägung, ob die Übermittlung überhaupt zulässig ist. Bei lokaler KI entfällt dieser Schritt, weil kein Anbieter beteiligt ist.

Keine Drittlandübermittlung. Viele große KI-Anbieter sitzen in den USA. Selbst mit europäischen Rechenzentren bleibt die Frage, ob US-Behörden Zugriff verlangen könnten. Die Übermittlung wird meist über Standardvertragsklauseln oder den Angemessenheitsbeschluss (EU-US Data Privacy Framework) abgesichert, beides ist Gegenstand laufender Diskussionen. Bei lokaler KI stellt sich diese Frage nicht.

Keine Verwendung für Training. Bei lokaler KI werden Eingaben nicht an einen Modellanbieter zurückgemeldet und nicht zum Training fremder Modelle verwendet.

Kontrolle über Speicherung. Wie lange Anfragen, Antworten und Protokolle gespeichert werden, legt der Betrieb selbst fest und kann es technisch durchsetzen.

Welche Pflichten bleiben

Rechtsgrundlage. Auch bei lokaler Verarbeitung braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO, bei besonderen Kategorien wie Gesundheitsdaten zusätzlich nach Art. 9.

Zweckbindung. Daten, die für einen Zweck erhoben wurden, dürfen nicht beliebig für andere Zwecke genutzt werden. Wer etwa Personalakten in den Such-Index einer Wissens-KI aufnimmt, muss prüfen, ob das mit dem ursprünglichen Zweck vereinbar ist.

Zugriffsrechte. Eine Wissens-KI, die alle Dokumente des Betriebs kennt, darf nicht jedem alles verraten. Die Rechte im Such-Index müssen den Rechten in der Ablage entsprechen: Wer eine Akte nicht öffnen darf, bekommt daraus auch keine Antwort.

Technische und organisatorische Maßnahmen. Verschlüsselung, Datensicherung, Updates, Protokollierung und ein Konzept für Störungen gehören zu jedem Server, auf dem personenbezogene Daten verarbeitet werden. Ein KI-Server ist da keine Ausnahme.

Betroffenenrechte. Auskunft, Berichtigung und Löschung müssen auch für Daten möglich sein, die im Such-Index oder in Protokollen der KI stecken. Das ist beim Aufbau des Systems mitzudenken.

Verzeichnis und Information. Die Verarbeitung gehört ins Verarbeitungsverzeichnis, und je nach Einsatz sind Betroffene zu informieren.

Der Dienstleister als Auftragsverarbeiter

Ein Punkt wird oft übersehen: Auch bei lokaler KI ist meist ein Dienstleister beteiligt, der das System einrichtet und wartet. Kann er dabei auf personenbezogene Daten zugreifen, etwa über einen Fernzugang für Updates, ist er in der Regel Auftragsverarbeiter. Dann braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und der Zugang sollte so gestaltet sein, dass der Betrieb ihn kontrolliert und freigibt.

Datenschutz-Folgenabschätzung

Werden umfangreich besondere Kategorien personenbezogener Daten verarbeitet oder neue Technologien mit hohem Risiko eingesetzt, kann nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung nötig sein. Ob das im Einzelfall zutrifft, sollte mit der Datenschutzberatung geklärt werden, bevor das System in Betrieb geht.

Und der AI Act?

Unabhängig vom Datenschutz gilt seit 2. Februar 2025 die Pflicht zur KI-Kompetenz nach Art. 4 AI Act. Seit der Neufassung durch die VO (EU) 2026/1744 im Juli 2026 heißt das: Wer KI-Systeme im Betrieb einsetzt, muss Maßnahmen treffen, die die KI-Kompetenz der Mitarbeitenden fördern; ein bestimmtes Niveau ist nicht mehr vorgeschrieben. Für interne Assistenten zur Textarbeit sind die weiteren Pflichten meist überschaubar. Das gilt für lokale und Cloud-KI gleichermaßen.

Fazit

Lokale KI räumt die schwierigsten Datenschutzfragen beim KI-Einsatz aus dem Weg: keine Weitergabe an einen Cloud-Anbieter, keine Drittlandübermittlung, keine Nutzung für fremdes Training. Die grundlegenden Pflichten der DSGVO bleiben aber bestehen und müssen beim Aufbau des Systems umgesetzt werden. Diese Einordnung ersetzt keine Rechtsberatung.

Wie Goma-IT lokale KI technisch umsetzt, steht auf der Seite Lokale KI (On-Premise). Beispiele aus einzelnen Branchen zeigen die Beiträge zu Anwaltskanzleien und Arztpraxen.

Häufige Fragen

Ist lokale KI automatisch DSGVO-konform?

Nein. Lokal heißt, dass keine Übermittlung an einen Cloud-Anbieter stattfindet. Die übrigen Pflichten bleiben: Rechtsgrundlage, Zugriffsrechte, Protokollierung, Löschkonzept, Information der Betroffenen und technische Sicherheit. Lokale KI macht vieles davon einfacher umzusetzen, ersetzt es aber nicht.

Brauche ich einen Auftragsverarbeitungsvertrag, wenn die KI lokal läuft?

Mit einem Cloud-Anbieter nicht, weil keiner beteiligt ist. Wenn aber ein Dienstleister das System wartet und dabei auf Daten zugreifen könnte, etwa über einen Fernzugang, ist mit ihm in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zu schließen.

Muss ich für lokale KI eine Datenschutz-Folgenabschätzung machen?

Das hängt davon ab, welche Daten verarbeitet werden und wie. Bei umfangreicher Verarbeitung besonderer Kategorien, etwa Gesundheitsdaten, oder bei neuen Technologien mit hohem Risiko kann sie nach Art. 35 DSGVO erforderlich sein. Die Einschätzung sollte mit der Datenschutzberatung getroffen werden.